rpc и аутентификация

[Котяра]

при первой аутентификации пользователя по логин/паролю уставливается sid (SessionID) если всё ок, юзер помещается в хэш список подключённых во время вызова сервер смотрит sid, как это реализовано в blazeDS я не в курсе, может автоматически, может нет. когда я делал на HTTP запросах к perl скриптам я sid передавал в вызове скрипта
get_smth.cgi?sid=idwkend9we8udiwubiuweuw&param1=11&param2=12
что здесь плохо - зная эту ссылку злоумышленник может получить доступ к текущей сессии.